App.configの使い方

Question

前提・実現したいこと

App.configについて質問です。
アプリケーションを起動する際に読み込まれるファイルというい認識だったため、DBサーバーのURLやDBへのログインID,PWなどを記載して 環境設定ファイル のような扱いをしていたところ
「あまりそういう使い方はしないかも」という指摘を頂きました。

自動で読み込まれるのでファイル読み込みのような処理もいらないし楽だなーと思って使っていたのですが
App.configというのは本来どういう値を格納すべきなのでしょうか？

プログラミングに直接関係のない質問ですみませんが、お答えいただけたらありがたいです。

補足情報（FW/ツールのバージョンなど）

C#　.net framework4.8

Comments

[Zuishin]

そういう使い方するんじゃないですか？ Entity Framework とかまさにその使い方が公式ですけど。

「使い方」の意味が「コードからの使い方」なら Properties.Settings.Default のことではありませんか？

[m.ts10806]

どこで指摘を受けたのでしょうか

[moshi]

指摘を受けたのは会社の先輩からです…
今考えてみるとApp.configに記載したDBサーバーのURLやDBへのログインID,PWなどを編集する画面を作成していたところなので「あまりアプリ側で書き換えるべきものではない」という意味での指摘だったかもです

[m.ts10806]

もう少し意図や考え方を確認した方がいいかもしれません。
プロジェクトの考え方もあるのでしたらそれはそれで柔軟に取り込む必要があります

[moshi]

＞Zuishin様
コード的な意味ではなく用途的な意味で言っていたように思えます…

[Zuishin]

先輩が知らなかっただけという可能性もありますが、本当の意図は聞かなければわかりませんね。使い方としては特に引っかかるところはありません。強いて言えばパスワードをそこに平文で書くのは気持ち悪いと思う人もいるかもしれません。

Answer 1

ASP.NET の構成ファイル (web.config) には接続文字列が含まれることが多く、SQL Server 認証を使っていたりすると ID とパスワードが含まれます。その他にも、外部に漏れてはまずい情報（サーバー名とか暗号化キーとか）も含まれることが多いです。

Windows Forms アプリの構成ファイルにも接続文字列を含めることが多いと思いますが、認証に用いる ID とパスワードが含まれていると、構成ファイルをユーザーはメモ帳で開いて読めますので、セキュリティ的には望ましくはなさそうです。

指摘を受けたのは会社の先輩からです…

とのことですが、その方は上記のような情報の漏洩の可能性を考えていたのではないですか？

ちなみに、ASP.NET Web アプリの場合は、ネットの不特定多数の攻撃者からハッキングされる可能性が高いということから、web.congfig の特定のセクションを動的に暗号化・復号化する機能があります。興味があれば以下の記事を見てください。

接続文字列とその他の構成情報を保護する (C#)
https://docs.microsoft.com/ja-jp/aspnet/web-forms/overview/data-access/advanced-data-access-scenarios/protecting-connection-strings-and-other-configuration-information-cs

Answer 2

DBサーバーのURLやDBへのログインID,PWなどを記載して 環境設定ファイル のような扱いをしていたところ

そういう使い方をします。至極まっとうな使い方ですよ。

(https://docs.microsoft.com)アプリケーション設定の概要

Windows フォーム アプリケーションでは、アプリケーションの実行のために欠かせない特定のデータが必要とされるものの、そのデータをアプリケーションのコードに直接含めるのは望ましくないということがよくあります。 アプリケーションが Web サービスまたはデータベース サーバーを使用する場合、この情報を別のファイルに保存することで、将来再コンパイルせずに変更することができます。